Woher weißt du, dass deine Detections tatsächlich funktionieren?

Test sie. Fahr Adversary Emulation in deiner eigenen Umgebung, entweder Atomic Tests, die auf Technique IDs gemappt sind, oder ein vollständiges Szenario, und bewerte jeden Test als verhindert, alarmiert, nur geloggt oder verpasst. Führ die Verpasser ins Detection-Backlog und teste nach dem Fix erneut. Getrennt davon überwachst du fortlaufend die Telemetrie-Gesundheit, denn die meisten Detection-Ausfälle sind kaputte Datenpipelines und keine fehlerhafte Regel-Logik.

Eine Regel, die nie gefeuert hat, ist eine Hypothese. Wir haben also Atomic Tests, gemappt auf Technique IDs, planmäßig in einem kontrollierten Segment gefahren, mit dem Endpoint-Team in der Leitung, und jeden als verhindert, alarmiert, nur geloggt oder gar nichts bewertet. Nur geloggt ist die nützlichste Kategorie, denn sie heißt, die Daten sind schon da und nur die Detection fehlt, und das ist ein schneller Gewinn. Jeder Verpasser wurde ein Ticket mit der Technique ID drauf, und die Regel war nicht fertig, bis derselbe Test erneut lief und sie alarmierte. Zweimal im Jahr haben wir ein längeres Szenario mit einer vollständigen Kette statt Atomics gefahren, was die Koordinationsprobleme aufdeckt, etwa dass der Alert um drei Uhr morgens korrekt feuert und niemand ein Runbook dafür hat. Getrennt davon beobachte ich die Telemetrie-Gesundheit, denn der häufigste Grund, warum eine Detection versagt, ist nicht die Logik. Es ist ein Sensor, der vor drei Wochen aufgehört hat zu melden, ich alarmiere also pro Hostgruppe auf Stille bei Logquellen.